Niveles de inteligencia vistos desde la detección

La inteligencia de amenazas se separa en niveles según la decisión que permite, no según cuánto detalle trae. Esta sala usa tres, y hay quien separa un cuarto, el técnico; lo importante es la lógica. La estratégica sirve a quien decide dónde poner el esfuerzo del año. La operativa describe cómo actúa un grupo o una campaña: es la materia de la que salen las hipótesis de conducta. La táctica son valores concretos y de vida corta: dominios, direcciones, huellas de archivo.

Para quien construye detecciones, cada nivel entra por una puerta distinta del ciclo: la estratégica ordena qué se construye primero, la operativa dice qué conductas merecen una hipótesis y la táctica rellena listas que caducan. Confundir las puertas es la causa más común de catálogos llenos de reglas hechas con valores sueltos.

Abre la consola. niveles define los tres niveles de esta sala y entregables trae los ocho de septiembre. La columna nivel_declarado es la etiqueta que puso quien lo envió; decision_que_permite es lo que su contenido permite decidir de verdad. Un proveedor puede etiquetar «táctica» algo que no lo es solo porque suena útil.

Con el nivel corregido por la decisión, queda ver cuántos de los ocho son materia para hipótesis de conducta. Cuenta por la decisión que permiten, no por la etiqueta del proveedor.

Los entregables operativos son los que piden lectura con lápiz: cada conducta descrita es una candidata a hipótesis. Los tácticos se cargan o se consultan; los estratégicos se resumen para quien prioriza. El tiempo de lectura se va en las páginas operativas.

El comité de riesgos pide que la previsión anual de extorsión (entregable de nivel estratégico) «se convierta en reglas». Una previsión habla del sector y del año entero; no trae un solo comportamiento observable que se pueda escribir como condición.